Hírolvasó

Az Európai Unió Bíróságának (EUB) főtanácsosa, Athanasios Rantos hivatalos véleményt adott ki egy, a lengyelországi Koszalini kerületi Bírósághoz beérkezett adathalász ügy kapcsán, miszerint a bank köteles visszatéríteni az ügyfél részére a csalás során elvesztett összeget.

Overview

Malformed ZIP headers can cause antivirus and endpoint detection and response software (EDR) to produce false negatives. Despite the presence of malformed headers, some extraction software is still able to decompress the ZIP archive, allowing potentially malicious payloads to run upon file decompression.

Description

ZIP archives contain metadata such as compression method, flags, and version information. Antivirus engines typically rely on this metadata to determine how to preprocess files before scanning. If an attacker modifies the compression method field, antivirus software may fail to properly decompress the file, and will therefore be unable to analyze the actual payload.

After antivirus evasion, the payload can be recovered by using a custom loader that ignores the declared Method field and instead decompresses embedded data directly. This allows the attacker to hide malicious content from antivirus engines while still being able to recover it programmatically.

Notably, standard extraction tools (e.g.: 7‑Zip, unzip, bsdtar, Python’s zipfile) trust the declared compression method and attempt decompression, but then fail with CRC or “unsupported method” errors. These tools do not extract the payload and do not expose the underlying data.

This vulnerability is similar to VU#968818, CVE-2004-0935.

Impact

A remote attacker may craft a ZIP archive with tampered metadata that prevents antivirus or EDR software from properly decompressing and inspecting its contents. The file can thereby evade full analysis, though many products will still flag it as corrupted. To execute malicious code, however, a user must extract or further process the archive. Standard extraction tools may or may not reveal the hidden payload. It is possible that a custom loader that ignores the declared compression method could recover and execute the concealed content.

Solution

Antivirus and EDR vendors should not rely solely on declared archive metadata to determine content handling. Scanners should have more aggressive detection modes to validate compression method fields against actual content characteristics, and flag inconsistencies for further inspection. Users are encouraged to contact their antivirus or EDR providers to identify whether they are vulnerable and obtain guidance on additional mitigation options.

Acknowledgements

Thanks to the reporter, Christopher Aziz. This document was written by Laurie Tyzenhaus.

A Velvet Tempest néven nyomon követett zsarolóvírus csoport ClickFix-technikát és legitim Windows segédprogramokat használ a DonutLoader kártevő, valamint a CastleRAT backdoor eszköz telepítésére.

A Check Point Research friss elemzése egy olyan, Silver Dragon néven azonosított kiberkémkedési műveletet mutat be, amely ázsiai és európai kormányzati szerveket és közintézményeket vett célba.

A felhasználók gyakran próbálnak hozzáférni olyan alkalmazásokhoz, amelyek megkönnyíthetik vagy felgyorsíthatják munkájukat. Az ilyen szoftverek ingyenes, nem hivatalos változatai azonban gyakran rosszindulatú kódot tartalmaznak, amely súlyos információbiztonsági incidensekhez vezethet.

A FreeScout ügyfélszolgálati platformban egy új, CVE-2026-28289 azonosítón nyomon követett kritikus sebezhetőséget azonosítottak, amely lehetővé teszi a támadók számára, hogy felhasználói interakció és hitelesítés nélkül távoli kódfuttatást (RCE) érjenek el a sérülékeny rendszereken.

A jelszókezelő szolgáltató, a LastPass felhasználói újabb adathalász kampány célpontjává váltak. A támadók hamis, jogosulatlan fiókhozzáférési figyelmeztetésekkel próbálják megszerezni a felhasználók jelszavait.

Overview

An attacker can reliably identify and block Viber’s Cloak‑mode proxy traffic because the feature uses a static, easily fingerprinted TLS ClientHello, which could result in blocking and may result in denial of service.

Description

Rakuten Viber's Proxy (Cloak mode) in Android v25.7.2.0g and Windows v25.6.0.0–v25.8.1.0 exhibits a flaw in its TLS handshake implementation. Cloak mode is designed to hide the fact that a proxy or VPN is in use. However, the Cloak proxy mode ClientHello fingerprint is rigid and lacks extension diversity, making it trivially identifiable by Deep Packet Inspection (DPI) systems. This undermines the effectiveness of domain fronting and enables network-level blocking of Viber traffic in restrictive environments. The issue compromises censorship circumvention capabilities and in specific instances, may result in denial of service.

Impact

The Cloak-mode proxy traffic fails to hide the use of a proxy. The outgoing data is easily identifiable due to the rigid finger print and no longer appears to be normal browser TLS behavior. The user has no indication the proxy is not protecting their data or

Solution

For continued support, implement automatic updates for Viber Windows clients. The current version is 27.3.0.0. The Android mobile version in version 27.2.0.0g.

Acknowledgements

Thanks to the reporter Oleksii Gaienko, an independent security researcher.This document was written by Laurie Tyzenhaus.

Egy AI-val támogatott kampány során, nyílt forráskódú eszköz segítségével világszerte több száz Fortinet FortiGate rendszert kompromittáltak, miközben a fejlesztő lehetséges kínai állami kapcsolatai és az ilyen technológiák terjedése komoly kiberbiztonsági kockázatokat jelenthet.

A Microsoft Defender kutatói 2026. március elején olyan kampányt írtak le, ahol a támadók az OAuth protokoll egyik szabványos működését használják ki.

Egy friss kutatás szerint a „Coruna” nevű, kifejezetten összetett iOS exploit keretrendszerrel több ezer iPhone-t kompromittáltak.

A Google hétfőn bejelentette az Android biztonsági frissítések legújabb csomagjának kiadását, amely közel 130 sérülékenységet javít, köztük egy már aktívan kihasznált nulladik napi (zero-day) sérülékenységet is.

A "ClawJacked" sérülékenység lehetővé tehette, hogy rosszindulatú weboldal böngészőn keresztül brute-force támadással átvegye az irányítást a lokálisan futó OpenClaw példány felett, ami akár teljes rendszerkompromittációhoz is vezethetett.